基于Express+passport-saml的GSuite SSO：ACS URL与Entity ID配置求助

我来帮你梳理清楚GSuite SSO配置里的关键参数，以及你代码里需要调整的地方：

一、GSuite中ACS URL和Entity ID的正确设置 #

1. ACS URL（断言消费者服务URL） #

这是Google身份提供商（IDP）在用户登录成功后，将SAML断言POST发送到的你的服务端点。根据你的路由配置，它应该是：
https://<你的公网域名>/auth/saml/callback

注意：必须使用HTTPS（GSuite强制要求），如果是本地测试，可以用ngrok之类的工具把本地服务映射成HTTPS公网地址。这个URL不需要返回XML，它只是接收Google发来的SAML断言并由passport-saml处理的接口。

2. Entity ID（服务提供商SP实体ID） #

这是你的服务在SAML体系中的唯一标识，需要和你passport-saml配置里的issuer参数完全一致。你可以自定义一个符合URL格式的值，比如：
https://<你的公网域名>/auth/saml/metadata
或者直接用你的域名作为标识：https://<你的公网域名>

二、修正你的passport-saml配置错误 #

看你的代码，目前有一个关键错误：
你把issuer参数设置成了Google IDP的ID（https://accounts.google.com/o/saml2?idpid=XXXXXX），这是不对的！issuer应该是你的服务（SP）的Entity ID，也就是上面你定义的那个值。

另外，关于证书处理：passport-saml可以直接读取完整的证书内容（包括-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----），不需要手动去掉这些标记，你可以简化cert的读取代码：

cert: fs.readFileSync("./cert.pem", "utf-8")

三、生成SP元数据（可选但推荐） #

为了避免手动配置出错，你可以让passport-saml自动生成服务提供商的元数据XML，然后在GSuite里直接导入这个元数据URL，ACS URL和Entity ID会自动填充。

添加一个路由来返回元数据：

app.get('/auth/saml/metadata', (req, res) => {
  res.type('application/xml');
  // 若使用MultiSamlStrategy，需调整获取策略的方式
  res.send(passport._strategies.saml.generateServiceProviderMetadata());
});

然后在GSuite的SAML配置页面，选择“导入元数据”，输入这个元数据的URL（https://<你的域名>/auth/saml/metadata），就能自动完成关键参数的配置。

四、排查Google 503错误的可能原因 #

出现503错误通常是Google无法正常和你的服务通信，常见原因：

• ACS URL不可访问：你的服务没有暴露在公网，或者防火墙/安全组拦截了POST请求；本地测试时务必用ngrok之类的工具做HTTPS映射。
• 证书验证失败：你处理cert的方式有误（比如去掉了首尾标记），导致passport-saml无法验证Google发来的断言。
• Entity ID不匹配：GSuite里设置的Entity ID和你passport配置的issuer不一致，导致SAML请求验证失败。

调整完这些配置后，重新测试应该就能解决问题了。

内容的提问来源于stack exchange，提问作者BPC